Self-custody в криптовалюте: как работает самостоятельное хранение и в чем его риски

Разберём, как устроена эта механика и где она подводит на практике.

Где кончается биржа и начинается ваш кошелёк

Суть self-custody простая и жёсткая: крипта лежит на блокчейне, а не «в кошельке». Кошелёк — это инструмент, который хранит приватные ключи и подписывает транзакции. Если ключи держит биржа (кастодиальная схема), за безопасность отвечает она. Если ключи у вас — отвечаете вы сами.

Базовый интерфейс — сид-фраза из 12 или 24 слов, которую, по описанию Coinbase, генерирует кошелёк при первом запуске. Это, по сути, мастер-пароль от всех ваших адресов. Потеряли фразу — потеряли доступ навсегда, потому что сбросить её через поддержку, как пароль в банке, некому. Никакая компания физически не откроет дверь.

Дальше выбор формы хранения:

— горячие кошельки на смартфоне или ноутбуке — удобно для частых операций, но устройство постоянно в сети;

— аппаратные — хранят ключи офлайн и подходят под долгосрок;

— бумажные и стальные бэкапы сид-фразы — отдельная история про физический носитель.

«Аппаратный» не значит «непробиваемый». В июле 2026 года, по данным TRM Labs, уязвимость в генерации сида затронула серию кошельков Coldcard: было похищено порядка 1 816 BTC, это около $116 млн с более чем 5 200 кошельков. Холодный — не значит безопасный. Математика ошиблась один раз — и деньги ушли.

Цифры, от которых холодеет

Self-custody убирает посредника, но не убирает инфраструктуру вокруг блокчейна. 6 сентября атакующие вывели около 4 000 BTC из сети Liquid Network — на тот момент порядка $319 млн. По оценке TRM Labs, примерно 85%, то есть около $272 млн, в итоге вернулось после патча уязвимости, а у атакующих осталось около $47 млн.

Отдельно — физическая сторона вопроса. Chainalysis оценивает, что за первое полугодие 2026 у держателей крипты было украдено порядка $30 млн в результате атак «в реале». Доля домашних ограблений выросла до 37% инцидентов с 26% в 2023-м. Это уже не про фишинг и дрейнеры — это про людей, которые знают, что у вас лежит.

И общая картина по рынку, по TRM Labs: 207 взломов и около $972 млн убытков за полугодие. Кошельки горят вне зависимости от того, где они лежат.

Базовый протокол, который работает

Никакой хайп не заменит дисциплины. Минимальный набор, который я бы закрепил железобетонно:

— сид-фраза только офлайн, никаких скриншотов в облаке и заметок в телефоне;

— проверка адреса получателя перед каждой отправкой — целиком, а не по первым и последним символам;

— обновление прошивки устройства, если используете аппаратный кошелёк;

— никогда не подписывать транзакции, смысл которых вы не понимаете;

— долгосрок держать отдельно от того, что крутится в DeFi — тогда один скомпрометированный кошелёк не сжигает весь портфель.

И ещё одна зона риска, которую новички часто упускают, — голосовые дипфейки и клонирование голоса. Когда «мама» или «босс» звонит знакомым голосом и просит срочно перевести монеты, это уже не сценарий из фильма, а рабочий инструмент мошенника. Если хотите понимать, как устроена эта механика, — посмотрите разбор про Voice-AI и синтез речи. Self-custody начинается с протокола внутри головы, а не только с устройства в кармане.